aktualizacja: 1 maja 2026

Preambuła

Niniejsze Ogólne Warunki Świadczenia Usług (dalej: „OWU”) określają zasady świadczenia usług przez PATRONUSEC sp. z o.o. z siedzibą w Poznaniu, ul. Św. Marcin 29/8, 61-806 Poznań, wpisaną do rejestru przedsiębiorców Krajowego Rejestru Sądowego prowadzonego przez Sąd Rejonowy Poznań-Nowe Miasto i Wilda w Poznaniu, VIII Wydział Gospodarczy KRS pod numerem 0001039087, NIP 7831881739, REGON 525386650 (dalej: „PATRONUSEC”), na rzecz jej Klientów.

OWU stanowią wzorzec umowny w rozumieniu art. 384 § 1 i § 2 ustawy z dnia 23 kwietnia 1964 r. – Kodeks cywilny (dalej: „k.c.”). OWU są udostępniane Klientowi w sposób umożliwiający łatwe zapoznanie się z ich treścią, w szczególności poprzez publikację na stronie www.patronusec.com oraz przez ich załączenie lub inkorporację (poprzez odesłanie) do każdej Oferty kierowanej do Klienta.

Współpraca pomiędzy Stronami nawiązywana jest na podstawie pisemnej oferty PATRONUSEC sporządzonej na szablonie PATRONUSEC (dalej: „Oferta”), kierowanej imiennie do potencjalnego Klienta. Oferta stanowi ofertę w rozumieniu art. 66 § 1 k.c. Pisemna akceptacja Oferty przez Klienta — poprzez jej podpisanie bez modyfikacji — stanowi zawarcie umowy szczegółowej (dalej: „Umowa Szczegółowa”) na warunkach określonych w Ofercie i OWU. Złożenie Oferty wraz z OWU oraz jej podpisanie przez Klienta stanowi akceptację OWU w wersji obowiązującej w dniu doręczenia Oferty Klientowi.

OWU nie znajdują zastosowania do umów zawieranych z konsumentami w rozumieniu art. 22¹ k.c. PATRONUSEC nie świadczy Usług na rzecz konsumentów.

§ 1. Przedmiot OWU i zawarcie Umowy Szczegółowej

1. Przedmiotem OWU jest określenie ogólnych zasad współpracy pomiędzy PATRONUSEC a Klientem (łącznie zwanymi: „Stronami”) w zakresie usług świadczonych przez PATRONUSEC, w szczególności: usług cyberbezpieczeństwa, audytów IT, testów penetracyjnych, oceny podatności, usług vCISO, usług doradztwa w zakresie zgodności regulacyjnej (w tym PCI DSS, ISO 27001, TISAX, DORA, NIS2, RODO), szkoleń i usług doradczych pokrewnych (dalej: „Usługi”).

2. Szczegółowy zakres współpracy, w tym specyfikacja Usług, harmonogram, wynagrodzenie, warunki płatności oraz obowiązki współpracy Klienta, określone zostaną w Ofercie kierowanej przez PATRONUSEC do Klienta. Oferta wraz z OWU stanowi po jej podpisaniu przez Klienta Umowę Szczegółową w rozumieniu OWU. Występujący w dalszej części OWU termin „Zamówienie” oznacza Umowę Szczegółową zawartą poprzez podpisanie Oferty zgodnie z ust. 4 poniżej i jest stosowany zamiennie z terminem „Umowa Szczegółowa”.

3. Usługi mają z natury charakter zobowiązania starannego działania w rozumieniu art. 750 k.c. w zw. z art. 734 i nast. k.c., a nie zobowiązania rezultatu. PATRONUSEC zobowiązuje się świadczyć Usługi z zachowaniem należytej staranności zawodowej.

4. Umowa Szczegółowa zostaje zawarta w trybie ofertowym (art. 66 i nast. k.c.) z uwzględnieniem następujących zasad:

a) PATRONUSEC kieruje do Klienta Ofertę sporządzoną na własnym szablonie, zawierającą istotne postanowienia umowy w rozumieniu art. 66 § 1 k.c., w szczególności: szczegółowy zakres Usług, wynagrodzenie i harmonogram płatności, terminy realizacji, osoby odpowiedzialne ze strony Klienta, wykaz zasobów, do których PATRONUSEC będzie miał dostęp;

b) Oferta wskazuje termin związania PATRONUSEC ofertą (termin ważności Oferty). Jeżeli Oferta nie zawiera odmiennego postanowienia, termin ten wynosi 30 dni od dnia doręczenia Oferty Klientowi. Po upływie tego terminu Oferta traci moc wiążącą wobec PATRONUSEC i wymaga ponownego potwierdzenia;

c) Klient akceptuje Ofertę poprzez jej podpisanie (w formie pisemnej, dokumentowej lub elektronicznej w rozumieniu art. 78¹ k.c.) bez wprowadzania jakichkolwiek modyfikacji oraz doręczenie podpisanej Oferty PATRONUSEC w terminie ważności Oferty. Z chwilą doręczenia podpisanej Oferty PATRONUSEC w sposób umożliwiający zapoznanie się z jej treścią dochodzi do zawarcia Umowy Szczegółowej (art. 70 § 1 k.c.);

d) podpisanie Oferty z jakąkolwiek modyfikacją, zastrzeżeniem, uzupełnieniem lub odesłaniem do innego wzorca umownego (w tym wzorca Klienta) — niezależnie od jego rodzaju i istotności — nie stanowi przyjęcia Oferty, lecz nową ofertę Klienta w rozumieniu art. 68 k.c., która wiąże PATRONUSEC wyłącznie po jej pisemnej akceptacji przez osobę umocowaną do reprezentowania PATRONUSEC. Niniejsze postanowienie wyłącza zastosowanie art. 68¹ § 1 k.c.;

e) Umowa Szczegółowa zawierana jest wyłącznie na warunkach Oferty oraz OWU. W razie rozbieżności pomiędzy treścią Oferty a OWU, pierwszeństwo mają postanowienia Oferty.

5. PATRONUSEC nie jest związany Ofertą podpisaną przez Klienta po upływie terminu ważności Oferty, niezależnie od przyczyn opóźnienia. Otrzymanie przez PATRONUSEC podpisanej Oferty po terminie traktowane jest jako oferta Klienta wymagająca pisemnej akceptacji PATRONUSEC; brak odpowiedzi PATRONUSEC w terminie 7 dni roboczych uznaje się za jej nieprzyjęcie.

6. Postanowienia OWU stanowią integralną część Umowy Szczegółowej. Klient potwierdza, że przed podpisaniem Oferty zapoznał się z OWU w wersji obowiązującej w dniu doręczenia Oferty oraz że akceptuje ich treść w całości. PATRONUSEC zapewnia, że każda Oferta zawiera odesłanie do OWU lub OWU stanowią załącznik do Oferty.

7. Z zastrzeżeniem § 6 ust. 3 (zaliczka), PATRONUSEC rozpocznie świadczenie Usług nie wcześniej niż po zawarciu Umowy Szczegółowej.

§ 2. Oświadczenia i obowiązki Klienta

Klient zobowiązuje się do zapewnienia PATRONUSEC pełnej, rzetelnej, prawdziwej i terminowej współpracy, w tym do: (i) udzielenia dostępu do dokumentów, osób i infrastruktury niezbędnych do realizacji Usług, (ii) wskazania osoby kontaktowej upoważnionej do udzielania informacji w imieniu Klienta, (iii) udzielania odpowiedzi na pytania i wnioski PATRONUSEC w uzgodnionych terminach, (iv) powstrzymania się od działań mogących utrudnić lub uniemożliwić realizację Usług.

2. Strony zgodnie potwierdzają, że Usługi PATRONUSEC są świadczone:

a) na podstawie danych, dokumentów i informacji otrzymanych od Klienta lub osób działających w jego imieniu, jak również na podstawie informacji powszechnie dostępnych;

b) przy założeniu, że wszelkie udostępnione PATRONUSEC dokumenty, ich kopie oraz informacje są rzetelne, kompletne, aktualne, prawdziwe i zgodne ze stanem faktycznym i prawnym.

W związku z powyższym PATRONUSEC nie weryfikuje rzetelności, kompletności i prawdziwości dostarczonych przez Klienta materiałów ani informacji i nie ponosi odpowiedzialności za ich treść. Klient ponosi wyłączną odpowiedzialność za skutki przekazania PATRONUSEC informacji nieprawdziwych, niepełnych, wprowadzających w błąd lub nieaktualnych — w tym za wnioski wyciągnięte przez PATRONUSEC na ich podstawie.

3. PATRONUSEC akceptuje dokumenty przekazywane przez Klienta w języku polskim oraz angielskim. Dokumenty sporządzone w innym języku nie podlegają analizie przez PATRONUSEC, chyba że PATRONUSEC potwierdzi pisemnie (w formie dokumentowej) gotowość do ich analizy w danym języku. W razie braku takiego potwierdzenia, Klient zobowiązany jest dostarczyć tłumaczenie na język polski lub angielski na własny koszt.

4. Klient oświadcza i zapewnia, że wszelkie dokumenty, materiały, dane i projekty przekazane PATRONUSEC w związku z realizacją Umowy stanowią jego własność lub Klient posiada wszelkie wymagane prawem zezwolenia, licencje i zgody na ich wykorzystanie przez PATRONUSEC w zakresie niezbędnym do realizacji Usług, oraz że ich przekazanie i wykorzystanie przez PATRONUSEC nie narusza praw osób trzecich, w tym praw autorskich, praw własności przemysłowej, tajemnicy przedsiębiorstwa ani przepisów o ochronie danych osobowych.

5. W razie zgłoszenia wobec PATRONUSEC przez jakąkolwiek osobę trzecią roszczeń związanych z wykorzystaniem materiałów, danych lub informacji dostarczonych przez Klienta, Klient zobowiązuje się do:

a) niezwłocznego, na pierwsze pisemne żądanie PATRONUSEC, pokrycia wszelkich kosztów obrony PATRONUSEC, w tym kosztów obsługi prawnej, zastępstwa procesowego, kosztów sądowych i biegłych;

b) zwolnienia PATRONUSEC z obowiązku świadczenia w stosunku do osoby trzeciej w trybie art. 392 k.c. — Klient zobowiązuje się, że osoba trzecia nie będzie żądać od PATRONUSEC spełnienia świadczenia, a w razie zasądzenia takiego świadczenia od PATRONUSEC, Klient zwróci PATRONUSEC całą zasądzoną kwotę wraz z odsetkami i wszelkimi kosztami w terminie 14 dni od dnia otrzymania wezwania;

c) udzielenia PATRONUSEC wszelkiego niezbędnego wsparcia w postępowaniu, w tym przekazania niezbędnych dokumentów i informacji oraz, na żądanie PATRONUSEC, zgłoszenia interwencji ubocznej (art. 76 ustawy z dnia 17 listopada 1964 r. – Kodeks postępowania cywilnego, dalej: „k.p.c.”) po stronie PATRONUSEC.

PATRONUSEC zobowiązany jest poinformować Klienta o roszczeniu niezwłocznie, nie później niż w terminie 7 dni roboczych od dnia powzięcia o nim wiadomości.

§ 3. Usługi techniczne (testy penetracyjne i pokrewne)

W przypadku Usług o charakterze technicznym, w szczególności testów penetracyjnych, skanów podatności (zewnętrznych i wewnętrznych), testów aplikacji, testów inżynierii społecznej, testów TLPT i analogicznych, Klient oświadcza, zapewnia i zobowiązuje się, że:

a) jest pełnoprawnym właścicielem lub posiada prawnie skuteczne upoważnienie do dysponowania wszystkimi systemami informatycznymi, aplikacjami, adresami IP, domenami i innymi zasobami wskazanymi w Zamówieniu (dalej: „Zasoby Testowe”);

b) uzyskał wszelkie wymagane prawem lub umową zgody i upoważnienia od osób trzecich, w szczególności od dostawców usług hostingowych, dostawców usług chmurowych (w tym AWS, Microsoft Azure, Google Cloud Platform i analogicznych), dostawców usług CDN, podwykonawców, współwłaścicieli oraz osób, których dane lub zasoby mogą zostać objęte testami — w zakresie niezbędnym do legalnego przeprowadzenia Usług;

c) udziela PATRONUSEC oraz jego podwykonawcom nieodwołalnej zgody na dostęp do Zasobów Testowych, w tym na ingerencję w te systemy oraz na przełamywanie ich zabezpieczeń, w rozumieniu art. 267, 268, 268a, 269, 269a i 269b ustawy z dnia 6 czerwca 1997 r. – Kodeks karny (dalej: „k.k.”), wyłącznie w celu realizacji Zamówienia i w jego zakresie. Zgoda obowiązuje w okresie realizacji Zamówienia oraz w okresie niezbędnym do ewentualnej weryfikacji wniosków;

d) jest świadomy, że w toku prawidłowej realizacji Usług może dojść do (czasowego i niezamierzonego) zakłócenia działania systemów, czasowego zablokowania dostępu, generowania dużego ruchu sieciowego, uruchomienia mechanizmów obronnych Klienta lub jego dostawców. Klient akceptuje to ryzyko i zobowiązuje się nie dochodzić od PATRONUSEC roszczeń z tego tytułu, z wyjątkiem szkód wyrządzonych przez PATRONUSEC z winy umyślnej lub rażącego niedbalstwa;

e) na żądanie PATRONUSEC przedstawi w terminie 5 dni roboczych dokumenty potwierdzające okoliczności wskazane w lit. a) i b), w szczególności wyciągi z umów lub oświadczenia osób trzecich;

f) zapewni, że okno czasowe testów zostanie zakomunikowane wewnętrznym zespołom Klienta (w tym SOC, NOC, IT) w sposób adekwatny do założeń testu (z wyłączeniem testów typu „black box” lub „red team”, gdzie ograniczona komunikacja jest elementem metodyki).

2. Klient ponosi wyłączną odpowiedzialność za skutki bezpodstawnego udzielenia zgody, o której mowa w ust. 1 lit. c). Postanowienia § 2 ust. 4–5 stosuje się odpowiednio.

§ 4. Zmiana terminu i opłata rezerwacyjna

PATRONUSEC rezerwuje moc realizacyjną swojego zespołu na potrzeby uzgodnionego terminu realizacji Usługi. W przypadku zmiany terminu lub miejsca uprzednio uzgodnionego spotkania lub usługi z przyczyn leżących po stronie Klienta, Klient zobowiązany jest do:

a) pokrycia w całości udokumentowanych kosztów już poniesionych przez PATRONUSEC, w tym kosztów rezerwacji noclegów, biletów, opłat licencyjnych narzędzi testowych, kosztów podwykonawców — w zakresie, w jakim ich anulowanie bez kosztów nie jest możliwe (na podstawie kopii faktur lub rachunków); oraz

b) zapłaty opłaty rezerwacyjnej (rekompensaty za rezerwację mocy realizacyjnej) w wysokości:

(i) 25% wartości netto Zamówienia — w razie zmiany terminu na więcej niż 30 dni przed uzgodnionym terminem realizacji,

(ii) 50% wartości netto Zamówienia — w razie zmiany terminu w okresie od 30 do 14 dni przed uzgodnionym terminem realizacji,

(iii) 75% wartości netto Zamówienia — w razie zmiany terminu w okresie krótszym niż 14 dni przed uzgodnionym terminem realizacji.

Kwoty wskazane w lit. b) stanowią karę umowną zastrzeżoną na wypadek nienależytego wykonania zobowiązania niepieniężnego (obowiązku współdziałania) w rozumieniu art. 483 § 1 k.c. i nie wykluczają prawa PATRONUSEC do dochodzenia odszkodowania uzupełniającego na zasadach ogólnych, jeżeli rzeczywiście poniesiona szkoda przekracza wysokość kary umownej (art. 484 § 1 k.c. zd. drugie in fine, w zw. z art. 353¹ k.c.).

2. Pierwsza zmiana terminu z przyczyn leżących po stronie Klienta dokonana w terminie wcześniejszym niż 60 dni przed uzgodnionym terminem realizacji nie powoduje obowiązku zapłaty opłaty rezerwacyjnej, o ile Strony uzgodnią nowy termin realizacji w terminie 14 dni od daty pierwotnej.

§ 5. Komunikacja i forma czynności

Strony zobowiązują się do prowadzenia bieżącej komunikacji w formie elektronicznej (e-mail) na adresy wskazane w Zamówieniu lub uzgodnione w toku realizacji.

2. PATRONUSEC zobowiązuje się stosować do wskazówek Klienta w zakresie organizacyjno-formalnym realizacji Usług, w szczególności co do harmonogramu spotkań, formy raportowania i kanałów komunikacyjnych. Powyższe nie modyfikuje samodzielności PATRONUSEC w zakresie merytoryki świadczonych Usług oraz wyboru metodyki, technik i narzędzi testowych.

3. Wszelkie uzgodnienia dokonywane w trakcie trwania Umowy dotyczące jej realizacji wymagają co najmniej formy dokumentowej. Strony dopuszczają bieżące uzgodnienia ustne lub telefoniczne, jednakże ich skuteczność uzależniona jest od ich potwierdzenia w formie dokumentowej (e-mail) przez którąkolwiek ze Stron w terminie 3 dni roboczych. Brak sprzeciwu drugiej Strony w terminie 2 dni roboczych od otrzymania potwierdzenia uznaje się za jego akceptację.

4. Klient oświadcza, że jest świadomy ryzyk związanych z komunikacją drogą elektroniczną — w tym ryzyk przechwycenia, modyfikacji i utraty wiadomości — i akceptuje te ryzyka. PATRONUSEC nie ponosi odpowiedzialności za szkody wynikające z ryzyk związanych z prowadzeniem komunikacji przez sieć Internet, z wyjątkiem szkód wyrządzonych z winy umyślnej PATRONUSEC. Strony zobowiązują się do stosowania uzasadnionych środków bezpieczeństwa komunikacji (szyfrowanie e-mail przy informacjach wrażliwych, kanały zabezpieczone przy wymianie danych technicznych).

5. Wszelkie zmiany Zamówienia wymagają zgodnej woli obu Stron wyrażonej co najmniej w formie dokumentowej.

§ 6. Wynagrodzenie i warunki płatności

Z tytułu świadczonych Usług PATRONUSEC przysługuje wynagrodzenie określone w Zamówieniu. Wynagrodzenie podane jest w kwocie netto i powiększone zostaje o podatek VAT według stawek obowiązujących w dniu wystawienia faktury.

2. Wynagrodzenie określone w Zamówieniu obejmuje wszelkie koszty i wydatki PATRONUSEC związane z realizacją Usług, z wyjątkiem kosztów dodatkowych wskazanych w ust. 8.

3. PATRONUSEC uprawniony jest do żądania zaliczki w wysokości do 50% wynagrodzenia netto Zamówienia, płatnej przed rozpoczęciem świadczenia Usług. Wysokość i termin zapłaty zaliczki określa Zamówienie. Brak zapłaty zaliczki w terminie uprawnia PATRONUSEC do wstrzymania rozpoczęcia realizacji bez ponoszenia konsekwencji.

4. Faktury wystawiane są w formie ustrukturyzowanej i przesyłane:

a) w przypadku Klientów posiadających status czynnego podatnika VAT w Polsce — wyłącznie za pośrednictwem Krajowego Systemu e-Faktur (KSeF), zgodnie z art. 106nd i nast. ustawy z dnia 11 marca 2004 r. o podatku od towarów i usług (dalej: „ustawa o VAT”). Datą doręczenia faktury jest data jej przydzielenia numeru identyfikującego w KSeF;

b) w przypadku Klientów niepodlegających obowiązkowi otrzymywania faktur za pośrednictwem KSeF (w szczególności Klientów zagranicznych nieposiadających siedziby ani stałego miejsca prowadzenia działalności gospodarczej w Polsce) — w formie elektronicznej (PDF), na adres e-mail Klienta wskazany w Ofercie. Klient niniejszym wyraża zgodę na otrzymywanie faktur w formie elektronicznej zgodnie z art. 106n ust. 1 ustawy o VAT.

5. Termin płatności faktury wynosi 15 dni od daty jej wystawienia, chyba że Zamówienie stanowi inaczej. Datą zapłaty jest dzień uznania rachunku bankowego PATRONUSEC pełną kwotą wskazaną na fakturze.

6. Płatność następuje przelewem na rachunek bankowy PATRONUSEC ujawniony w wykazie podmiotów, o którym mowa w art. 96b ust. 1 ustawy o VAT (tzw. „biała lista”), wskazany na fakturze.

7. W razie wątpliwości co do statusu płatności (terminowości, kompletności), Klient zobowiązany jest do niezwłocznego okazania potwierdzenia przelewu na żądanie PATRONUSEC.

8. O ile Oferta nie stanowi inaczej, wynagrodzenie wskazane w Ofercie nie obejmuje kosztów podróży służbowych, w szczególności kosztów dojazdu, noclegów oraz diet (dalej: „Travel Expenses”). Travel Expenses zostaną doliczone do wynagrodzenia na podstawie udokumentowanych wydatków, według cen zakupu, bez doliczania marży administracyjnej. PATRONUSEC zobowiązuje się do dochowania należytej staranności w optymalizacji kosztów podróży. Pozostałe koszty dodatkowe (w szczególności opłaty licencyjne specjalistycznych narzędzi testowych nabywanych specjalnie na potrzeby Klienta, koszty podwykonawców, koszty tłumaczeń) zostaną doliczone do wynagrodzenia na podstawie udokumentowanych wydatków, z marżą administracyjną w wysokości do 10%, chyba że Oferta stanowi inaczej.

9. W przypadku opóźnienia w zapłacie PATRONUSEC uprawniony jest do naliczenia odsetek ustawowych za opóźnienie w transakcjach handlowych zgodnie z ustawą z dnia 8 marca 2013 r. o przeciwdziałaniu nadmiernym opóźnieniom w transakcjach handlowych, jak również do dochodzenia rekompensaty za koszty odzyskiwania należności, o której mowa w art. 10 tej ustawy.

10. W przypadku opóźnienia w zapłacie wynagrodzenia lub zaliczki przekraczającego 14 dni, PATRONUSEC uprawniony jest do wstrzymania świadczenia Usług do czasu uregulowania zaległej płatności wraz z odsetkami. W okresie wstrzymania nie biegną terminy realizacji ustalone w Zamówieniu, a PATRONUSEC nie ponosi odpowiedzialności za skutki opóźnień wynikających ze wstrzymania.

11. W sytuacji, gdy w trakcie realizacji Usług okaże się, że pierwotnie uzgodnione wynagrodzenie jest istotnie nieadekwatne do zaangażowania PATRONUSEC z powodu okoliczności, za które PATRONUSEC nie ponosi odpowiedzialności (w szczególności rozszerzenia zakresu Usług, ujawnienia istotnych nowych faktów, opóźnień po stronie Klienta), Strony podejmą w dobrej wierze negocjacje zmiany warunków wynagrodzenia. Jeżeli Strony nie osiągną porozumienia w terminie 14 dni od dnia zgłoszenia żądania zmiany przez którąkolwiek ze Stron, PATRONUSEC uprawniony będzie do:

a) wypowiedzenia danego Zamówienia z zachowaniem 14-dniowego terminu wypowiedzenia, z prawem do otrzymania wynagrodzenia za wszystkie Usługi wykonane do dnia rozwiązania, lub

b) kontynuowania realizacji Zamówienia przy zachowaniu pierwotnych warunków, z prawem do późniejszego dochodzenia roszczeń na podstawie art. 357¹ k.c.

§ 7. Podwykonawcy

1. PATRONUSEC uprawniony jest do powierzenia realizacji całości lub części Usług osobom trzecim (podwykonawcom). PATRONUSEC odpowiada za działania i zaniechania podwykonawców jak za własne (art. 474 k.c.).

2. Powierzenie podwykonawstwa nie wymaga uprzedniej zgody Klienta, chyba że Zamówienie stanowi inaczej. PATRONUSEC zapewni, że podwykonawcy zobowiążą się do zachowania poufności na zasadach nie mniej rygorystycznych niż określone w § 9 OWU.

§ 8. Ochrona danych osobowych

Strony zobowiązują się przetwarzać dane osobowe pozyskane w związku z realizacją Umowy zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (dalej: „RODO”), ustawą z dnia 10 maja 2018 r. o ochronie danych osobowych oraz innymi obowiązującymi przepisami.

2. Strony przyjmują następujące zasady identyfikacji ról:

a) w zakresie danych kontaktowych pracowników i współpracowników drugiej Strony, każda Strona pozostaje samodzielnym administratorem swoich danych;

b) w zakresie, w jakim PATRONUSEC w toku realizacji Usług przetwarza dane osobowe, których administratorem jest Klient (np. dane logów systemowych, dane testowe, dane administratorów), PATRONUSEC działa jako podmiot przetwarzający w rozumieniu art. 28 RODO. W takim przypadku Strony zawrą odrębną umowę powierzenia przetwarzania danych osobowych (DPA) najpóźniej w dniu zawarcia pierwszego Zamówienia obejmującego takie przetwarzanie. Wzorzec DPA stanowi Załącznik nr 1 do OWU.

3. PATRONUSEC stosuje środki techniczne i organizacyjne zapewniające bezpieczeństwo przetwarzania danych osobowych odpowiednie do ryzyka, w tym (i) szyfrowanie danych w spoczynku i przesyle, (ii) kontrolę dostępu opartą na zasadzie najmniejszych uprawnień, (iii) logowanie operacji, (iv) regularne testy i przeglądy bezpieczeństwa, (v) szkolenia personelu, (vi) plan ciągłości działania.

4. PATRONUSEC niezwłocznie, nie później niż w terminie 24 godzin od stwierdzenia, informuje Klienta o jakimkolwiek naruszeniu ochrony danych osobowych, którego dotyczy realizacja Usług na rzecz Klienta.

5. Postanowienia niniejszego paragrafu nie modyfikują w żaden sposób ograniczeń odpowiedzialności określonych w § 11 OWU.

§ 9. Poufność i tajemnica przedsiębiorstwa

Strony zobowiązują się do zachowania w poufności wszelkich informacji uzyskanych w związku z realizacją Umowy, oznaczonych przez Stronę przekazującą jako poufne lub takich, które ze względu na ich charakter powinny być traktowane jako poufne (dalej: „Informacje Poufne”). W szczególności Informacjami Poufnymi są informacje stanowiące tajemnicę przedsiębiorstwa w rozumieniu art. 11 ust. 2 ustawy z dnia 16 kwietnia 1993 r. o zwalczaniu nieuczciwej konkurencji.

2. Wśród Informacji Poufnych Strony wyróżniają „Wrażliwe Informacje Poufne”, do których należą: dane uwierzytelniające (loginy, hasła, klucze API), klucze kryptograficzne, dane pełnych raportów z testów penetracyjnych zawierających dowody techniczne (proof-of-concept), informacje o aktywnych podatnościach w okresie przed ich naprawą, dane kart płatniczych w zakresie objętym standardem PCI DSS, dane osobowe szczególnych kategorii w rozumieniu art. 9 RODO. Wrażliwe Informacje Poufne podlegają wzmocnionym środkom ochrony: szyfrowaniu w spoczynku i w przesyle (algorytmy nie słabsze niż AES-128), kontroli dostępu opartej na zasadzie najmniejszych uprawnień, logowaniu dostępu, zakazowi przesyłania kanałami niezaszyfrowanymi.

3. Strony zobowiązują się: (i) wykorzystywać Informacje Poufne wyłącznie w celu realizacji Umowy, (ii) nie ujawniać Informacji Poufnych osobom trzecim bez uprzedniej pisemnej zgody Strony przekazującej, (iii) chronić Informacje Poufne z należytą starannością, nie mniejszą niż stosowaną do ochrony własnych informacji poufnych.

4. Obowiązek zachowania poufności obowiązuje przez cały okres trwania Umowy oraz przez 5 lat po jej zakończeniu z jakiejkolwiek przyczyny. W odniesieniu do Wrażliwych Informacji Poufnych obowiązek poufności jest bezterminowy.

5. Obowiązek poufności nie obejmuje informacji, które:

a) w chwili ich uzyskania były powszechnie znane lub stały się powszechnie znane bez naruszenia obowiązku poufności przez Stronę otrzymującą;

b) były znane Stronie otrzymującej przed ich uzyskaniem od Strony przekazującej, co Strona otrzymująca może udowodnić;

c) zostały samodzielnie opracowane przez Stronę otrzymującą bez wykorzystania Informacji Poufnych Strony przekazującej;

d) zostały ujawnione na podstawie obowiązku wynikającego z bezwzględnie obowiązujących przepisów prawa, prawomocnego orzeczenia sądu lub decyzji organu administracji publicznej, przy czym Strona otrzymująca, o ile jest to dopuszczalne, niezwłocznie poinformuje Stronę przekazującą o takim obowiązku.

6. Po zakończeniu Umowy każda Strona zobowiązana jest, na żądanie drugiej Strony, do zwrotu lub trwałego usunięcia Informacji Poufnych drugiej Strony, z wyjątkiem (i) jednej kopii archiwalnej przechowywanej dla celów dowodowych przez okres przedawnienia roszczeń, (ii) Informacji Poufnych zawartych w archiwach systemowych, których selektywne usunięcie jest technicznie niewykonalne — pod warunkiem zachowania dla nich obowiązku poufności do czasu ich naturalnego wygaśnięcia w cyklu archiwizacyjnym.

7. PATRONUSEC będzie uprawniony do informowania o fakcie nawiązania współpracy z Klientem oraz do prezentowania Klienta w swoim portfolio, w szczególności poprzez:

a) podanie nazwy Klienta i jego logo na stronie internetowej PATRONUSEC, w materiałach marketingowych, w prezentacjach handlowych i ofertach;

b) ogólny opis charakteru współpracy (np. „audyt PCI DSS”, „testy penetracyjne”) bez ujawniania danych technicznych ani Wrażliwych Informacji Poufnych;

c) zamieszczanie zaakceptowanych przez Klienta referencji.

Klient może w każdym czasie pisemnie cofnąć zgodę na publikację jego logo i nazwy z 30-dniowym terminem usunięcia, jednakże samo informowanie o fakcie współpracy w toku procesu sprzedażowego (w odpowiedzi na konkretne zapytanie potencjalnego klienta) pozostaje dopuszczalne, pod warunkiem zachowania poufności Informacji Poufnych.

8. Postanowienia niniejszego paragrafu nie wyłączają obowiązków informacyjnych PATRONUSEC wobec organizacji standardów branżowych (np. PCI Security Standards Council) ani obowiązku przedstawienia dokumentacji w razie kontroli ze strony tych organizacji.

§ 10. Własność intelektualna

Definicje:

a) „Background IP” oznacza wszelkie prawa własności intelektualnej PATRONUSEC istniejące przed zawarciem Umowy lub powstałe niezależnie od jej realizacji, w szczególności metodyki testowe, narzędzia (w tym oprogramowanie), szablony raportów, listy kontrolne, frameworki audytowe, know-how oraz materiały szkoleniowe;

b) „Foreground IP” oznacza wszelkie prawa własności intelektualnej powstałe w toku realizacji Umowy, w tym raporty, dokumentację, rekomendacje i analizy.

2. Background IP pozostaje wyłączną własnością PATRONUSEC. Klient nie nabywa do niego żadnych praw poza ograniczonym prawem korzystania w zakresie wynikającym z Foreground IP.

3. Z chwilą zapłaty pełnego wynagrodzenia z tytułu danego Zamówienia, PATRONUSEC udziela Klientowi nieograniczonej terytorialnie, niewyłącznej, niezbywalnej (z wyjątkiem przypadków wskazanych w ust. 4) licencji na korzystanie z Foreground IP w celu wewnętrznego wykorzystania, w szczególności do:

a) wdrożenia rekomendacji zawartych w raporcie;

b) przedstawienia raportu organom regulacyjnym, audytorom (zewnętrznym i wewnętrznym), biegłym rewidentom, doradcom prawnym i podatkowym oraz organizacjom certyfikującym (w tym PCI SSC, jednostkom akredytującym ISO);

c) sporządzania kopii roboczych i archiwalnych w niezbędnym zakresie.

Licencja udzielana jest na polach eksploatacji wskazanych w art. 50 ustawy z dnia 4 lutego 1994 r. o prawie autorskim i prawach pokrewnych (dalej: „pr. aut.”): utrwalanie, zwielokrotnianie techniką cyfrową, wprowadzanie do pamięci komputera, udostępnianie wskazanym podmiotom — wyłącznie w zakresie celu wskazanego powyżej.

4. Licencja może być przeniesiona na nabywcę przedsiębiorstwa Klienta lub jego zorganizowanej części, w ramach przekształceń kapitałowych (fuzje, podziały, sprzedaż udziałów). W przypadku M&A z niezależnym nabywcą Klient powiadomi PATRONUSEC o przeniesieniu w terminie 14 dni od jego dokonania.

5. Klient nie jest uprawniony do:

a) udostępniania Foreground IP osobom trzecim w celach komercyjnych (sprzedaż, sublicencja, wykorzystanie w usługach świadczonych osobom trzecim);

b) wykorzystywania Foreground IP do tworzenia własnych narzędzi lub usług konkurencyjnych wobec działalności PATRONUSEC;

c) usuwania oznaczeń autorstwa PATRONUSEC z dokumentów.

6. Klient zachowuje wyłączne prawa do swoich danych, dokumentów i materiałów dostarczonych PATRONUSEC. PATRONUSEC po zakończeniu realizacji Zamówienia zwróci je lub usunie zgodnie z § 9 ust. 6.

7. PATRONUSEC zachowuje prawo do wykorzystywania doświadczeń, know-how, technik i ogólnych zasad poznanych w toku realizacji Umowy w przyszłej działalności — pod warunkiem nieujawniania Informacji Poufnych Klienta.

8. Wynagrodzenie za udzielenie licencji, o której mowa w ust. 3, mieści się w wynagrodzeniu określonym w Zamówieniu i nie jest płatne odrębnie.

§ 11. Ograniczenie odpowiedzialności

Z zastrzeżeniem ust. 5 poniżej, całkowita odpowiedzialność PATRONUSEC z tytułu szkód wyrządzonych Klientowi w związku z realizacją Umowy lub Zamówienia (bez względu na podstawę prawną — kontraktową lub deliktową) zostaje ograniczona do:

a) szkód rzeczywistych (damnum emergens), z wyłączeniem utraconych korzyści (lucrum cessans), szkód pośrednich, następczych, reputacyjnych, szkód związanych z utratą danych, utratą wartości goodwill, niemożnością realizacji kontraktów z osobami trzecimi, oraz

b) maksymalnej kwoty stanowiącej równowartość 100% wynagrodzenia netto faktycznie zapłaconego PATRONUSEC z tytułu konkretnego Zamówienia, w związku z którego realizacją powstała szkoda, w okresie 12 miesięcy poprzedzających zdarzenie szkodzące.

Limit kwotowy obowiązuje łącznie dla wszystkich roszczeń wynikających z danego Zamówienia, niezależnie od ich liczby i podstawy prawnej.

2. PATRONUSEC nie ponosi odpowiedzialności za:

a) treść, prawidłowość, kompletność i prawdziwość informacji, materiałów i dokumentów dostarczonych przez Klienta;

b) opóźnienia i nienależyte wykonanie Usług spowodowane działaniem lub zaniechaniem Klienta lub osób działających w jego imieniu, w szczególności niezapewnieniem dostępu do informacji, dokumentacji, osób lub infrastruktury, lub udzieleniem informacji nieprawdziwych, niepełnych lub wprowadzających w błąd;

c) skutki podjętych przez Klienta decyzji opartych na rekomendacjach PATRONUSEC — odpowiedzialność za decyzje biznesowe pozostaje wyłącznie po stronie Klienta;

d) szkody powstałe na skutek działań osób trzecich, które wykorzystały informacje lub raporty udostępnione przez Klienta osobom trzecim z naruszeniem § 9;

e) szkody wynikające z niezastosowania się Klienta do rekomendacji zawartych w raporcie PATRONUSEC.

3. PATRONUSEC nie udziela żadnych gwarancji co do osiągnięcia przez Klienta konkretnego wyniku regulacyjnego (w tym: uzyskania, utrzymania lub odnowienia certyfikacji PCI DSS, ISO 27001, TISAX, SOC, ani spełnienia wymogów DORA, NIS2, RODO lub innych regulacji), poza zobowiązaniem do dochowania należytej staranności zawodowej. Usługi mają charakter zobowiązania starannego działania, a nie zobowiązania rezultatu.

4. PATRONUSEC zobowiązuje się do utrzymywania w okresie obowiązywania Umowy ubezpieczenia odpowiedzialności cywilnej zawodowej na sumę gwarancyjną nie niższą niż 1.000.000 PLN na każdy wypadek. Na żądanie Klienta PATRONUSEC przedstawi kopię polisy lub certyfikatu ubezpieczenia.

5. Ograniczenia odpowiedzialności wskazane w ust. 1 nie mają zastosowania do szkód wyrządzonych przez PATRONUSEC z winy umyślnej (art. 473 § 2 k.c.) ani do szkód wyrządzonych na osobie.

§ 12. Siła wyższa

Strony zwolnione są z odpowiedzialności w przypadku całkowitego lub częściowego niewywiązania się z obowiązków, jeżeli zostało to spowodowane przez siłę wyższą, przez którą Strony rozumieją zdarzenie nagłe o charakterze zewnętrznym, niemożliwe do przewidzenia w chwili zawierania Umowy, któremu nie można przeciwdziałać i którego skutkom nie można zapobiec.

2. Za siłę wyższą Strony uważają w szczególności: (i) klęski żywiołowe, (ii) wojnę, działania zbrojne, akty terroryzmu, (iii) pandemie i epidemie oraz związane z nimi akty władzy publicznej, (iv) strajki o zasięgu ponadzakładowym, (v) akty władzy publicznej, w tym embarga i sankcje uniemożliwiające realizację Umowy, (vi) długotrwałą awarię infrastruktury teleinformatycznej dostawców zewnętrznych o zasięgu globalnym lub regionalnym (np. awaria głównych dostawców usług chmurowych, awaria głównych węzłów internetowych), (vii) atak cybernetyczny na infrastrukturę PATRONUSEC powodujący niemożność świadczenia Usług, mimo zachowania należytej staranności.

3. Strona, która powołuje się na siłę wyższą, zobowiązana jest niezwłocznie poinformować drugą Stronę o jej zaistnieniu, przewidywanym czasie trwania oraz wpływie na realizację Umowy. Strony w dobrej wierze podejmą działania mające na celu zminimalizowanie skutków siły wyższej.

4. Jeżeli stan siły wyższej trwa nieprzerwanie ponad 60 dni, każda ze Stron uprawniona jest do wypowiedzenia Umowy lub konkretnego Zamówienia ze skutkiem natychmiastowym. PATRONUSEC zachowuje prawo do wynagrodzenia za Usługi wykonane do dnia rozwiązania.

§ 13. Zakaz pozyskiwania pracowników

Mając na uwadze kluczowy charakter zasobów osobowych dla działalności PATRONUSEC, w okresie obowiązywania Umowy oraz w terminie 12 miesięcy po jej zakończeniu z jakiejkolwiek przyczyny, Klient zobowiązuje się do niepodejmowania czynności mających na celu skłonienie do rozwiązania stosunku prawnego z PATRONUSEC oraz do nawiązania stosunku pracy lub współpracy z Klientem (lub podmiotem powiązanym kapitałowo lub osobowo z Klientem) któregokolwiek z członków zespołu PATRONUSEC zaangażowanych w realizację Usług na rzecz Klienta w okresie 12 miesięcy poprzedzających planowane zatrudnienie.

2. Zobowiązanie z ust. 1 nie obejmuje:

a) sytuacji, w których członek zespołu PATRONUSEC samodzielnie odpowiada na ogłoszenie o pracę publikowane przez Klienta w sposób ogólnie dostępny (np. portale rekrutacyjne, LinkedIn, strona kariery), pod warunkiem że ogłoszenie nie było skierowane bezpośrednio do tej osoby;

b) zatrudnienia osoby, która nie jest już członkiem zespołu PATRONUSEC od co najmniej 6 miesięcy;

c) sytuacji, w której PATRONUSEC udzielił uprzedniej pisemnej zgody na zatrudnienie.

3. Klient zobowiązuje się również do nieprzekazywania osobom trzecim informacji umożliwiających lub ułatwiających pozyskanie członków zespołu PATRONUSEC, w tym danych kontaktowych pozyskanych w toku realizacji Umowy.

4. W przypadku naruszenia zobowiązań określonych w ust. 1 Klient zapłaci PATRONUSEC karę umowną w wysokości stanowiącej równowartość 12-miesięcznego wynagrodzenia brutto pozyskanej osoby (na podstawie wynagrodzenia oferowanego lub faktycznie wypłacanego przez Klienta), nie mniej jednak niż 100.000 PLN za każdą osobę. Kara umowna podlega zapłacie w terminie 14 dni od dnia otrzymania wezwania. PATRONUSEC zachowuje prawo do dochodzenia odszkodowania uzupełniającego na zasadach ogólnych, jeżeli rzeczywiście poniesiona szkoda przekracza wysokość kary umownej.

5. Klient zobowiązuje się, że bez uprzedniej pisemnej zgody PATRONUSEC nie będzie wykorzystywał rezultatów Usług (raportów, dokumentacji, rekomendacji) w celu świadczenia analogicznych usług osobom trzecim — z zastrzeżeniem licencji udzielonej zgodnie z postanowieniami § 10.

§ 14. Czas trwania, ważność Zamówienia, wypowiedzenie i odstąpienie

Każde Zamówienie (Umowa Szczegółowa) zawierane jest na czas oznaczony i pozostaje w mocy przez okres 12 miesięcy od dnia zawarcia, chyba że Oferta wyraźnie stanowi inaczej (dalej: „Okres Ważności Zamówienia”). W tym okresie Klient uprawniony jest i zobowiązany do skorzystania z Usług objętych Zamówieniem.

2. Klient zobowiązany jest do współdziałania w realizacji Usług, a w szczególności do potwierdzenia gotowości do rozpoczęcia świadczenia konkretnej Usługi. Potwierdzenie gotowości obejmuje: (i) udostępnienie infrastruktury, dokumentów, osób oraz innych zasobów wskazanych w Ofercie, (ii) wskazanie okna czasowego realizacji oraz osób kontaktowych, (iii) spełnienie wszelkich innych obowiązków współpracy niezbędnych do rozpoczęcia świadczenia Usług. Brak potwierdzenia gotowości stanowi zwłokę wierzyciela w rozumieniu art. 486 § 2 k.c.

3. Niewykorzystanie Usług w Okresie Ważności Zamówienia z przyczyn leżących po stronie Klienta — w tym brak potwierdzenia gotowości, o którym mowa w ust. 2, brak udostępnienia zasobów, opóźnienia, zmiany priorytetów Klienta — nie zwalnia Klienta z obowiązku zapłaty pełnego wynagrodzenia za Zamówienie. Po upływie Okresu Ważności Zamówienia uważa się, że PATRONUSEC zaoferował i pozostawał w gotowości do świadczenia Usług, a Klient — z przyczyn leżących po jego stronie — z Usług nie skorzystał. PATRONUSEC zwolniony jest wówczas z obowiązku świadczenia Usług, zachowując prawo do pełnego wynagrodzenia z Zamówienia.

4. PATRONUSEC może, według swojego wyłącznego uznania i bez obowiązku, wyrazić pisemną zgodę na przedłużenie Okresu Ważności Zamówienia o dodatkowy okres uzgodniony przez Strony. Zgoda PATRONUSEC nie jest udzielana automatycznie i może być uzależniona od dodatkowych warunków handlowych, w tym waloryzacji wynagrodzenia. Wniosek Klienta o przedłużenie wymaga formy dokumentowej i powinien być złożony nie później niż 30 dni przed upływem Okresu Ważności Zamówienia.

5. Strony zgodnie potwierdzają, że mechanizm wskazany w ust. 1–3 odzwierciedla rzeczywiste obciążenia ekonomiczne PATRONUSEC, na które składają się: (i) konieczność zarezerwowania mocy realizacyjnej zespołu na rzecz Klienta i wynikająca z tego niemożność realokacji zasobów do innych projektów, (ii) koszty stałe związane z utrzymywaniem dedykowanych zasobów osobowych, infrastrukturalnych i licencyjnych, (iii) ryzyko reputacyjne związane z niepełną realizacją zaplanowanych projektów. Wynagrodzenie za Zamówienie obejmuje nie tylko czas pracy faktycznie poświęcony Klientowi, lecz również gotowość PATRONUSEC do świadczenia Usług w Okresie Ważności Zamówienia.

6. Postanowienia ust. 1–3 dotyczące skutków upływu Okresu Ważności Zamówienia nie dotyczą sytuacji, w których niewykonanie Usług nastąpiło z przyczyn leżących wyłącznie po stronie PATRONUSEC. W takim przypadku PATRONUSEC zobowiązany jest do zwrotu otrzymanego wynagrodzenia w części odpowiadającej niewykonanym Usługom, chyba że Strony uzgodnią inny sposób rozliczenia.

7. Zakończenie Okresu Ważności Zamówienia nie wpływa na postanowienia dotyczące poufności (§ 9), własności intelektualnej (§ 10), zakazu pozyskiwania pracowników (§ 13) oraz na postanowienia o karach umownych — które obowiązują w okresach w nich wskazanych niezależnie od zakończenia Zamówienia.

8. Klient nie jest uprawniony do jednostronnego wypowiedzenia ani odstąpienia od Zamówienia, z wyjątkiem przypadków:

a) istotnego, niezawinionego przez Klienta opóźnienia PATRONUSEC w realizacji Zamówienia o ponad 60 dni w stosunku do uzgodnionego terminu, pod warunkiem uprzedniego wezwania PATRONUSEC do realizacji w dodatkowym terminie nie krótszym niż 14 dni;

b) rażącego naruszenia przez PATRONUSEC postanowień Umowy lub Zamówienia, które nie zostało usunięte w terminie 14 dni od pisemnego wezwania;

c) wystąpienia stanu siły wyższej trwającego nieprzerwanie ponad 60 dni i uniemożliwiającego realizację Zamówienia w jego pierwotnym kształcie.

Dla uniknięcia wątpliwości, prawo Klienta do odstąpienia nie obejmuje sytuacji, w których w toku realizacji Usług (w szczególności audytu) ujawnione zostają niekorzystne dla Klienta ustalenia, ryzyka, niezgodności lub wnioski. Antycypowany niekorzystny wynik Usług nie stanowi podstawy odstąpienia.

9. W przypadku wypowiedzenia, odstąpienia, rezygnacji, zerwania lub jakiegokolwiek innego jednostronnego zakończenia Zamówienia przez Klienta — niezależnie od użytego nazewnictwa i podstawy prawnej, z wyjątkiem przypadków określonych w ust. 8 — Klient zobowiązany jest do:

a) zapłaty pełnego wynagrodzenia w wysokości 100% wartości netto Zamówienia, niezależnie od stopnia zaawansowania realizacji Usług na dzień zerwania;

b) pokrycia wszelkich udokumentowanych kosztów dodatkowych poniesionych przez PATRONUSEC do dnia zerwania (w szczególności kosztów podróży, opłat licencyjnych, kosztów podwykonawców).

10. Kwoty wskazane w ust. 9 lit. a) stanowią karę umowną zastrzeżoną na wypadek nienależytego wykonania zobowiązania niepieniężnego (obowiązku współdziałania) w rozumieniu art. 483 § 1 k.c. Strony zgodnie potwierdzają, że wysokość kary umownej odzwierciedla rzeczywistą szkodę PATRONUSEC, na którą składają się: koszty rezerwacji mocy realizacyjnej, niemożność realokacji zespołu do innych projektów, ryzyko reputacyjne audytora związane z niedokończeniem zaplanowanego projektu (w szczególności w przypadku audytów certyfikacyjnych, których przerwanie może być raportowane organom standardów branżowych) oraz utracone korzyści. PATRONUSEC zachowuje prawo do dochodzenia odszkodowania uzupełniającego na zasadach ogólnych, jeżeli rzeczywiście poniesiona szkoda przekracza wysokość kary umownej (art. 484 § 1 k.c. zd. drugie in fine).

11. PATRONUSEC uprawniony jest do wypowiedzenia Zamówienia ze skutkiem natychmiastowym w przypadku:

a) opóźnienia w zapłacie wynagrodzenia lub zaliczki przekraczającego 30 dni;

b) ujawnienia, że oświadczenia Klienta z § 2 ust. 4 lub § 3 ust. 1 są niezgodne ze stanem faktycznym;

c) wszczęcia wobec Klienta postępowania upadłościowego lub restrukturyzacyjnego, z zastrzeżeniem ograniczeń wynikających z przepisów ustawy z dnia 15 maja 2015 r. – Prawo restrukturyzacyjne oraz ustawy z dnia 28 lutego 2003 r. – Prawo upadłościowe.

§ 15. Compliance regulacyjny (sankcje, anti-bribery)

Każda ze Stron oświadcza i zapewnia, że na dzień zawarcia Umowy oraz każdego Zamówienia:

a) nie podlega żadnym sankcjom międzynarodowym, w szczególności sankcjom Unii Europejskiej, Stanów Zjednoczonych (OFAC), Wielkiej Brytanii (HM Treasury) ani Organizacji Narodów Zjednoczonych;

b) żaden z jej beneficjentów rzeczywistych w rozumieniu ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu nie figuruje na listach sankcyjnych;

c) nie jest pod kontrolą podmiotu objętego sankcjami w rozumieniu art. 1 ust. 6 rozporządzenia Rady (UE) nr 833/2014.

2. Strony zobowiązują się do przestrzegania przepisów antykorupcyjnych, w szczególności art. 296a i 296b k.k. oraz, w zakresie ich stosowania, US Foreign Corrupt Practices Act (FCPA) i UK Bribery Act 2010. Żadna Strona ani osoby działające w jej imieniu nie udzieliły, nie obiecały i nie przyjmą żadnych korzyści majątkowych ani osobistych w związku z zawarciem lub realizacją Umowy, które mogłyby zostać zakwalifikowane jako łapówka, korupcja lub konflikt interesów.

3. Naruszenie postanowień ust. 1 lub 2 stanowi rażące naruszenie Umowy uprawniające drugą Stronę do wypowiedzenia Umowy ze skutkiem natychmiastowym.

§ 16. Postanowienia końcowe

Cesja praw i obowiązków wynikających z Umowy lub Zamówienia wymaga uprzedniej pisemnej zgody drugiej Strony, z wyjątkiem cesji na rzecz podmiotu powiązanego kapitałowo (zależnego, dominującego, siostrzanego) oraz cesji w ramach przekształceń kapitałowych dokonywanych zgodnie z prawem (fuzje, podziały, sprzedaż przedsiębiorstwa lub jego zorganizowanej części). PATRONUSEC może w każdym czasie scedować na rzecz instytucji finansowej wierzytelności pieniężne wynikające z Umowy w celach faktoringu lub finansowania bez konieczności uzyskania zgody Klienta.

2. PATRONUSEC zastrzega prawo do dokonywania zmian OWU z ważnych przyczyn, do których należą w szczególności: zmiany przepisów prawa, zmiany praktyki rynkowej, zmiany strategii biznesowej, dostosowanie do orzecznictwa lub stanowisk organów. Zmiany OWU nie wpływają na warunki Zamówień zawartych przed dniem wejścia zmian w życie. Do takich Zamówień stosuje się OWU w brzmieniu obowiązującym w dniu zawarcia Zamówienia.

3. Gdyby którekolwiek z postanowień OWU okazało się nieważne lub niewykonalne, pozostałe postanowienia zachowują moc obowiązującą. W miejsce nieważnego postanowienia Strony zastąpią je postanowieniem w sposób najbardziej zbliżony oddającym pierwotną intencję ekonomiczną i prawną (klauzula salwatoryjna).

4. W sprawach nieuregulowanych Umową, Zamówieniem lub OWU zastosowanie mają wyłącznie przepisy prawa polskiego, w szczególności ustawy z dnia 23 kwietnia 1964 r. – Kodeks cywilny, ustawy z dnia 4 lutego 1994 r. o prawie autorskim i prawach pokrewnych, rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych — RODO), ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, ustawy z dnia 11 marca 2004 r. o podatku od towarów i usług, ustawy z dnia 8 marca 2013 r. o przeciwdziałaniu nadmiernym opóźnieniom w transakcjach handlowych, ustawy z dnia 16 kwietnia 1993 r. o zwalczaniu nieuczciwej konkurencji oraz ustawy z dnia 17 listopada 1964 r. – Kodeks postępowania cywilnego.

5. Wszelkie spory wynikające z lub związane z Umową, OWU lub Zamówieniami Strony podejmą w pierwszej kolejności rozwiązać polubownie w drodze bezpośrednich negocjacji prowadzonych przez upoważnionych przedstawicieli każdej ze Stron. W razie braku porozumienia w terminie 30 dni od dnia zgłoszenia sporu na piśmie, każda ze Stron może skierować sprawę do mediacji prowadzonej przez Sąd Polubowny przy Krajowej Izbie Gospodarczej w Warszawie zgodnie z jego regulaminem.

6. W razie braku rozstrzygnięcia sporu w trybie ust. 5 w terminie 60 dni od dnia jego zgłoszenia, Strony poddają spór wyłącznej jurysdykcji sądu powszechnego właściwego rzeczowo dla siedziby PATRONUSEC. Postanowienie stanowi umowę o właściwość w rozumieniu art. 46 § 1 k.p.c.

7. Niezależnie od postanowień ust. 5 i 6, każda ze Stron może wystąpić do sądu o udzielenie zabezpieczenia roszczeń bez konieczności wyczerpania trybu polubownego.

8. OWU sporządzone zostały w języku polskim. Wersja angielska OWU stanowi tłumaczenie pomocnicze; w razie jakichkolwiek rozbieżności, wątpliwości lub konfliktu interpretacyjnego wersja polska zachowuje pierwszeństwo i stanowi wiążący tekst.

9. Załączniki do OWU stanowią jego integralną część:

1) Wzór umowy powierzenia przetwarzania danych osobowych (DPA).

ZAŁĄCZNIK NR 1 DO OWU – WZÓR UMOWY POWIERZENIA PRZETWARZANIA DANYCH OSOBOWYCH (DPA)

Niniejszy wzór stanowi integralną część OWU. Z chwilą zawarcia Zamówienia obejmującego przetwarzanie danych osobowych, dla których administratorem jest Klient, postanowienia DPA wiążą Strony w pełnym zakresie, chyba że Strony zawrą odrębną umowę powierzenia przetwarzania.

§ 1. Definicje i postanowienia ogólne

Pojęcia użyte w niniejszej DPA mają znaczenie nadane im w Rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (dalej: „RODO”), o ile nie postanowiono inaczej.

2. Klient pełni rolę administratora danych osobowych, a PATRONUSEC pełni rolę podmiotu przetwarzającego (procesora) w rozumieniu art. 28 RODO. Strony zawierają DPA w celu wykonania obowiązku z art. 28 ust. 3 RODO.

3. DPA znajduje zastosowanie wyłącznie do przetwarzania danych osobowych, które PATRONUSEC realizuje w toku świadczenia Usług na podstawie Zamówienia, a dla których administratorem pozostaje Klient. DPA nie znajduje zastosowania do danych, dla których PATRONUSEC pozostaje samodzielnym administratorem (np. dane kontaktowe pracowników Klienta).

§ 2. Przedmiot, charakter i cel przetwarzania

Klient powierza PATRONUSEC przetwarzanie danych osobowych w zakresie i w celu wskazanym w Zamówieniu, w szczególności:

a) charakter przetwarzania: usługi cyberbezpieczeństwa, audyty IT, testy penetracyjne, ocena podatności, doradztwo compliance — zgodnie z zakresem danej Oferty;

b) cel przetwarzania: realizacja Usług na rzecz Klienta zgodnie z Zamówieniem;

c) rodzaj danych osobowych: w zależności od charakteru Usług — dane identyfikacyjne (imię, nazwisko, login), dane kontaktowe (e-mail, telefon), dane służbowe (stanowisko, dział), dane logów systemowych, dane techniczne (adresy IP, identyfikatory urządzeń), w szczególnych przypadkach dane szczególnych kategorii (art. 9 RODO) — wyłącznie jeżeli wynika to z zakresu Usług;

d) kategorie osób: pracownicy i współpracownicy Klienta, użytkownicy systemów Klienta, klienci Klienta, kontrahenci Klienta — w zakresie wynikającym z Usług;

e) czas trwania przetwarzania: okres realizacji Zamówienia oraz okres niezbędny do dostarczenia rezultatów Usług, nie dłużej jednak niż 6 miesięcy od zakończenia realizacji, chyba że Strony uzgodnią inny okres.

§ 3. Obowiązki podmiotu przetwarzającego

PATRONUSEC zobowiązuje się przetwarzać dane osobowe wyłącznie na udokumentowane polecenie Klienta — przy czym samo Zamówienie stanowi udokumentowane polecenie w rozumieniu art. 28 ust. 3 lit. a) RODO. Wszelkie dalsze polecenia Klient kieruje w formie dokumentowej (e-mail).

2. PATRONUSEC zapewnia, że osoby upoważnione do przetwarzania danych osobowych zobowiązane są do zachowania ich w tajemnicy lub podlegają ustawowemu obowiązkowi zachowania tajemnicy.

3. PATRONUSEC podejmuje wszelkie środki techniczne i organizacyjne wymagane na mocy art. 32 RODO, w szczególności:

a) pseudonimizację i szyfrowanie danych osobowych (algorytmy nie słabsze niż AES-128 dla danych w spoczynku oraz TLS 1.2+ dla danych w transmisji);

b) zdolność do ciągłego zapewnienia poufności, integralności, dostępności i odporności systemów i usług przetwarzania;

c) zdolność do szybkiego przywrócenia dostępności danych osobowych i dostępu do nich w razie incydentu fizycznego lub technicznego;

d) regularne testowanie, mierzenie i ocenianie skuteczności środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzania;

e) kontrolę dostępu opartą na zasadzie najmniejszych uprawnień (least privilege), uwierzytelnianie wieloskładnikowe dla dostępu do systemów przetwarzających dane osobowe;

f) logowanie operacji przetwarzania danych osobowych zgodnie z polityką bezpieczeństwa PATRONUSEC.

4. PATRONUSEC pomaga Klientowi, biorąc pod uwagę charakter przetwarzania, poprzez odpowiednie środki techniczne i organizacyjne, w wywiązaniu się z obowiązku odpowiadania na żądania osób, których dane dotyczą, w zakresie wykonywania ich praw określonych w rozdziale III RODO (art. 15–22 RODO).

5. PATRONUSEC pomaga Klientowi w wywiązywaniu się z obowiązków określonych w art. 32–36 RODO, w szczególności w zakresie zapewnienia bezpieczeństwa przetwarzania, zgłaszania naruszenia ochrony danych osobowych organowi nadzorczemu i osobie, której dane dotyczą, oraz przeprowadzania oceny skutków dla ochrony danych (DPIA) i konsultacji z organem nadzorczym.

6. Po zakończeniu świadczenia Usług PATRONUSEC, według wyboru Klienta, usuwa lub zwraca mu wszelkie dane osobowe oraz usuwa wszelkie ich istniejące kopie, chyba że prawo Unii lub prawo państwa członkowskiego nakazują przechowywanie tych danych. Jedna kopia archiwalna może być przechowywana przez okres przedawnienia roszczeń wynikających z Zamówienia, na zasadach poufności określonych w § 9 OWU.

7. PATRONUSEC udostępnia Klientowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO oraz umożliwia Klientowi lub upoważnionemu przez Klienta audytorowi przeprowadzanie audytów, w tym inspekcji, i przyczynia się do nich. Audyt może być przeprowadzony nie częściej niż raz w roku, na koszt Klienta, po uprzednim zawiadomieniu PATRONUSEC z 30-dniowym wyprzedzeniem, w godzinach pracy PATRONUSEC i bez zakłócania jego bieżącej działalności. PATRONUSEC może odmówić dostępu do informacji stanowiących tajemnicę przedsiębiorstwa innych klientów PATRONUSEC.

§ 4. Podpowierzenie przetwarzania

1. Klient udziela PATRONUSEC ogólnej zgody na korzystanie z usług innych podmiotów przetwarzających (podprocesorów), pod warunkiem że PATRONUSEC zawrze z nimi umowy zapewniające co najmniej taki sam poziom ochrony danych osobowych jak określony w niniejszej DPA.

2. PATRONUSEC informuje Klienta o wszelkich zamierzonych zmianach dotyczących dodania lub zastąpienia podprocesorów z odpowiednim wyprzedzeniem. Klient ma prawo wyrazić sprzeciw wobec takich zmian w terminie 14 dni od otrzymania informacji. W razie sprzeciwu Strony podejmą w dobrej wierze rozmowy w celu znalezienia rozwiązania; brak porozumienia uprawnia każdą Stronę do wypowiedzenia Zamówienia za uzgodnionym okresem wypowiedzenia.

3. Aktualna lista podprocesorów udostępniana jest Klientowi na żądanie.

§ 5. Przekazywanie danych do państw trzecich

PATRONUSEC nie przekazuje danych osobowych do państw trzecich (poza Europejski Obszar Gospodarczy) bez podstawy prawnej zgodnej z rozdziałem V RODO.

2. W razie konieczności przekazania danych do państwa trzeciego, PATRONUSEC zawiera standardowe klauzule umowne (SCC) wydane przez Komisję Europejską na podstawie art. 46 ust. 2 lit. c) RODO lub stosuje inny mechanizm zgodny z rozdziałem V RODO. Klient niniejszym upoważnia PATRONUSEC do zawarcia SCC w jego imieniu w stosunku do podprocesorów spoza EOG.

§ 6. Zgłaszanie naruszeń ochrony danych osobowych

PATRONUSEC bez zbędnej zwłoki, nie później niż w terminie 24 godzin od stwierdzenia naruszenia ochrony danych osobowych, informuje Klienta o naruszeniu i przekazuje mu wszelkie informacje niezbędne do dokonania zgłoszenia organowi nadzorczemu zgodnie z art. 33 RODO, w szczególności:

a) charakter naruszenia, w tym, w miarę możliwości, kategorie i przybliżoną liczbę osób, których dane dotyczą, oraz kategorie i przybliżoną liczbę wpisów danych osobowych, których dotyczy naruszenie;

b) imię i nazwisko oraz dane kontaktowe inspektora ochrony danych lub innego punktu kontaktowego;

c) możliwe konsekwencje naruszenia ochrony danych osobowych;

d) środki zastosowane lub proponowane przez PATRONUSEC w celu zaradzenia naruszeniu, w tym w stosownych przypadkach środki w celu zminimalizowania jego ewentualnych negatywnych skutków.

2. PATRONUSEC współpracuje z Klientem w zakresie obsługi naruszenia oraz ewentualnej notyfikacji osób, których dane dotyczą (art. 34 RODO).

§ 7. Odpowiedzialność i postanowienia końcowe

Każda ze Stron ponosi odpowiedzialność za naruszenie postanowień niniejszej DPA na zasadach określonych w RODO oraz przepisach prawa polskiego. Postanowienia § 11 OWU (ograniczenie odpowiedzialności) stosuje się do roszczeń umownych pomiędzy Stronami; nie wpływają one na bezpośrednią odpowiedzialność wobec osób, których dane dotyczą, oraz na odpowiedzialność administracyjną wobec organów nadzorczych.

2. DPA wiąże Strony przez cały okres realizacji Zamówienia oraz przez okres niezbędny do wykonania obowiązków określonych w § 3 ust. 6.

3. W sprawach nieuregulowanych DPA zastosowanie mają postanowienia OWU oraz powszechnie obowiązujące przepisy prawa, w szczególności RODO oraz ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych.

4. W razie sprzeczności między postanowieniami DPA a innymi postanowieniami OWU lub Zamówienia w zakresie ochrony danych osobowych, pierwszeństwo mają postanowienia DPA.